9
有对nameserver进行权限访问吗。 比如用户密码，我现在看到的全是broker，而且在issue和doc中都找到
Q
[apache/rocketmq]Documentation Related 有对nameserver进行权限访问吗。
A
回答
9
目前没有，不过可以考虑把Broker的ACL移植过去，而且确实也有必要对namesrv进行权限控制
2
+1 @MacCrying
这是一个安全问题，我们的安全部门多次向我们报告了nameserver未授权修改配置漏洞，我们研发侧是难以解决的
虽然你们的CVE-2023-37582修复代码禁止了关键属性，但是其他属性被黑客恶意修改，可能导致服务不可用，使用mqadmin修改的数据包抓一下就能获得报文，比如修改线程数为1，容量为1，或者关闭某些flag导致服务不可用
这个问题是需要尽快解决的 @drpmma
1
后面ACL这块会有一个比较完善的设计，敬请期待
9
考虑到ACL配置存储在broker, namesrv要支持ACL就要反向依赖Broker，不太合适，暂不考虑支持